Ein Verein verwaltet Namen, Adressen, oft Bankverbindungen — und bei Jugendarbeit Daten von Kindern. Die DSGVO macht dabei keinen Unterschied zwischen einem Konzern und einem Kulturverein mit dreißig Mitgliedern: Der Verein ist Verantwortlicher für die Daten, die er verarbeitet. Das klingt bedrohlicher, als es ist — wenn man ein paar Dinge richtig anlegt und vieles bewusst weglässt.
Vorweg: Dieser Text ist Erfahrung aus der Arbeit mit Vereinen, keine Rechtsauskunft. Im Zweifel fragen Sie eine Rechtsberatung — die Wirtschaftskammer und die Vereinsdachverbände bieten dafür eigene Stellen an.
Mitgliederdaten: das meiste ist erlaubt, wenig ist nötig
Die Verwaltung der eigenen Mitglieder braucht in aller Regel keine gesonderte Einwilligung: Wer einem Verein beitritt, dessen Daten dürfen für genau diese Mitgliedschaft verarbeitet werden — Beitragsvorschreibung, Einladungen zur Generalversammlung, Vereinsbetrieb. Die Grundlage dafür ist das Mitgliedschaftsverhältnis selbst.
Die praktische Regel ist eine andere, und sie ist wichtiger als jede Rechtsgrundlage: Sammeln Sie nur, was der Verein wirklich braucht. Ein Feld „Geburtsdatum”, das nie ausgewertet wird, ist kein Service, sondern ein Risiko ohne Nutzen. Was man nicht hat, kann man nicht verlieren, nicht falsch weitergeben und muss man nicht schützen. Datenminimierung ist keine Fleißaufgabe für Juristen — sie ist die billigste Schutzmaßnahme, die es gibt.
Dazu gehört auch das Ende: Wenn ein Mitglied austritt, müssen seine Daten ein vorgesehenes Ende haben. „Wir heben alles ewig auf” ist keine Aufbewahrungsregel, sondern das Fehlen einer.
Newsletter: Mitglieder ja, alle anderen nur mit Einwilligung
Vereinsinterne Information an Mitglieder ist Vereinsbetrieb. Anders liegt der Fall, sobald der Verein Werbliches an Personen schickt, die nicht Mitglied sind — Unterstützer, Interessenten, alte Adresslisten: Elektronische Zusendungen dieser Art brauchen nach dem Telekommunikationsgesetz grundsätzlich die vorherige Zustimmung des Empfängers.
Praktisch heißt das: Führen Sie eine Liste, in die man sich selbst einträgt, und schreiben Sie auf, wann und wie jemand zugestimmt hat. Eine „historisch gewachsene” Excel-Liste mit E-Mail-Adressen aus zehn Jahren ist genau das Gegenteil. Und jeder Newsletter braucht eine funktionierende Abmeldung — nicht aus Höflichkeit, sondern als Pflicht.
Fotos: die häufigste Streitfrage
Vereinsleben produziert Bilder, und Bilder produzieren Konflikte. Zwei Ebenen greifen ineinander: Das Urheberrechtsgesetz schützt Abgebildete vor Veröffentlichungen, die ihre berechtigten Interessen verletzen — und die DSGVO gilt für Fotos, auf denen Personen erkennbar sind, zusätzlich.
Was sich in der Praxis bewährt:
- Bei Veranstaltungen ankündigen, dass fotografiert wird und wofür die Bilder verwendet werden — auf der Einladung, am Aushang.
- Bei Kindern immer die Erziehungsberechtigten fragen, schriftlich, vor der Veröffentlichung. Keine Ausnahme, auch nicht „nur für die Vereinsseite”.
- Auf Widerspruch reagieren. Wer sein Bild entfernt haben will, bekommt das entfernt — ohne Diskussion. Ein Foto ist keinen Vereinsstreit wert.
- Auswählen statt abladen. Zwanzig kuratierte Bilder sagen mehr als vierhundert unsortierte — und jedes Bild weniger ist eine Anfrage weniger, die kommen kann.
Die Vereinswebsite: der Teil, den Sie vollständig kontrollieren
Vieles am Datenschutz eines Vereins entscheidet sich nicht in Formularen, sondern beim Bau der Website. Eine eingebundene Google-Schriftart, ein YouTube-Video, eine Karteneinbettung — jedes davon überträgt die IP-Adresse jedes Besuchers an einen Drittanbieter, bevor irgendjemand etwas angeklickt hat. Dafür braucht es dann Einwilligungsbanner, Datenschutztexte und die Diskussion, die man vermeiden wollte.
Die einfachere Lösung ist, es nicht zu tun: Schriften selbst hosten, Videos verlinken statt einbetten, keine Zählpixel. Eine Vereinsseite, die keine Daten erhebt, braucht kein Cookie-Banner — weil es nichts einzuwilligen gibt. So bauen wir grundsätzlich, auch unsere eigene Seite; beim Kulturverein IKAZE läuft die komplette zweisprachige Vereinsplattform ohne Tracking auf europäischen Servern.
Die kurze Liste zum Abarbeiten
- Aufschreiben, welche Daten der Verein wo hat — eine halbe Seite genügt.
- Alles streichen, was niemand braucht. Danach ist die Liste kürzer.
- Newsletter: Eintragung mit Zustimmung, Abmeldung funktioniert.
- Fotos: Ankündigung bei Veranstaltungen, schriftliche Einwilligung bei Kindern.
- Website: keine Anfragen an Dritte, Datenschutzerklärung passt zur Realität.
Was die Website darüber hinaus können muss und kosten darf, steht im eigenen Beitrag: Vereinswebsite — Anforderungen und Kosten. Und was wir für gemeinnützige Organisationen kostenlos machen, steht scharf abgegrenzt auf der NGO-Seite.